Detection Defense Library

Eine konsolidierte Bibliothek für Defense-Engineering. Angriffsklassen, die Muster, die sie erkennen, die enthaltenen Sigma-Regeln und das Windows-Vertrauensgrenzen-Modell – alles in einem einzigen Repository.

Dieses Repository führt vier ehemalige Schwester-Repositories zusammen:

Layout

• classes/ — nach Angriffsklasse browsen (die zusammengeführte Sicht). Eine Datei pro Klasse ist die End-to-End-Defense-Seite (vom Modell bis zur Wiederherstellung). Inventarzahlen liegen in INDEX.md.
• patterns/ — Methodik-Muster (p01–p11, p14–p34).
• CONTROL-MAP.md — ATT&CK-Mitigationen / D3FEND / CIS / NIST-Overlay.
• METHODOLOGY.md — der Workflow zur Entwicklung von Erkennungen.
• boundaries/ — Dokumentation zu Windows-Vertrauensgrenzen (b01-Dienste..b10-Tokenintegrität).
• TRUST-MODEL.md — das Synthesemodell der Vertrauensgrenzen.
• drivers/ — die Treiber-Angriffsfläche: 661 Treiberdatensätze mit Datumsangabe, BYOVD-CVE-Katalog, HVCI + Blocklist für anfällige Treiber und die Erkennungszuordnung.

Nach Angriffsklasse browsen

AD-Klassen c14–c19 liegen unter ad/classes/ (Kerberos, DCSync, AD CS, Delegation, ACL-Persistenz, Coercion). Vollständige Tabelle mit Statusaufteilung: INDEX.md.

Verwendung

1. Wähle einen Kontinent aus CONTINENTS.md, eine Technik aus TECHNIQUE-INDEX.md oder eine Angriffsklasse aus INDEX.md.
2. Öffne classes/cN-*.md (oder ad/classes/) für die zusammengeführte Seite: benannte Härtung, Datenquellen-Voraussetzung, zuerst zu aktivierende Sigma-IDs, Jagd, Isolierung, Entfernung, Wiederherstellung und ein benannter Labortest. classes/_TEMPLATE.md ist der Vertrag, den jede Klasse erfüllen muss.
3. Wechsle zu patterns/ für das Observablen-/Datenquellen-Gerüst oder zu sigma/ für das vollständige Regelset.
4. Für die systemweite Sicht lies das Kontinent-TRUST-MODEL.md und (unter Windows) boundaries/.
5. Für tiefergehende Treiber-/BYOVD-Informationen nutze drivers/: den Treiberkatalog mit Datumsangaben, benannte BYOVD-CVEs, HVCI + Blocklist für anfällige Treiber und die Erkennungszuordnung.
6. Für SIEM-/Erkennungslogik-Tiefe nutze splunk/: SPL-Grundlagen, Alerting, Enterprise Security und Untersuchungsmuster (ein häufiges Bereitstellungsziel für die Sigma-Regeln in ).

Umfang

Defense-Engineering-Referenz für Systeme, die der Leser besitzt oder zu testen autorisiert ist. Dual-Use: kombiniere Offense (verwandte offensive Bibliotheken) mit Detection (diese hier). Über die Sigma-Erkennungsregeln und die Referenzmethodik hinaus werden hier keine Payloads gehostet.

Auftrag: eine Defense-Enzyklopädie — das Gegenstück zu HackTricks. Jeder beanspruchte Kontinent hat ein Vertrauensmodell und zusammengeführte Klassen, die classes/_TEMPLATE.md erfüllen. Mobil/ICS/KI sind mit ehrlichen „kein Sigma-Korpus“-Hinweisen im Umfang. Blockchain, Steganografie und Exploit-Entwicklungs-Tutorials bleiben außerhalb des Umfangs. Siehe LIBRARY-GAPS.md für die ursprüngliche Lückenkarte.

Herkunft und Wartung

PROVENANCE.md dokumentiert jede Quelle und wie der Sigma-Korpus erzeugt wurde. sigma/gen_bridge.py regeneriert den nach Techniken indizierten Baum aus einem frischen SigmaHQ-Klon. gen_bridge.py im Stammverzeichnis regeneriert die Zählungen pro Klasse.